גילוי דעת על תקנה 2(4): העברת מידע לחו"ל לפי הגנת הפרטיות

ביום 13 באפריל 2026 פורסם גילוי דעת חשוב, שעניינו העברת מידע לחו"ל.
הרשות להגנת הפרטיות פרסמה את המסמך.
המסמך עוסק בהעברת מידע לחו"ל.
הוא מתמקד בתקנה 2(4) לתקנות.
הוא עוסק גם בדיני הגנת הפרטיות.
לכן, גילוי דעת זה חשוב מאוד לארגונים.
גם בעלי מאגרים צריכים להכיר אותו.
גם מחזיקים וספקים צריכים להבין אותו.
כאן נסקור את תוכנו בלבד.
לא נוסיף קביעות שלא נכתבו בו.

גילוי דעת חדש של הרשות להגנת הפרטיות

גילוי הדעת נושא את התאריך כ"א בניסן תשפ"ו.
לצידו מופיע גם התאריך 13 אפריל 2026.
הרשות להגנת הפרטיות פרסמה את גילוי הדעת.
מטרת המסמך ברורה וממוקדת.
הוא מציג את פרשנות הרשות לתקנה 2(4).
התקנה מופיעה בתקנות הגנת הפרטיות משנת 2001.
התקנות עוסקות בהעברת מידע אל מחוץ לישראל.
הרשות פרסמה את המסמך לצורך הפעלת סמכויותיה.
הסמכויות נובעות מחוק הגנת הפרטיות.

העברת מידע לחו"ל לפי תקנה 2(4)

תחילה, גילוי הדעת מזכיר את ברירת המחדל.
התקנות אוסרות העברת מידע אישי לחו"ל.
האיסור חל אלא אם מתקיים חריג מתאים.
אחד החריגים מופיע בתקנה 2(4).
החריג עוסק בהתחייבות חוזית של מקבל המידע.
מקבל המידע צריך להתחייב כלפי בעל המאגר.
הוא חייב לקיים תנאים ישראליים רלוונטיים.
התנאים חלים על אחזקת מידע ושימוש בו.
התקנה מזכירה גם "שינויים מחויבים".
גילוי הדעת מפרש בדיוק מונח זה.

הרשות מכירה בקושי מעשי מסוים.
היא כותבת שלא תמיד אפשר לקיים הכל במלואו.
הקושי תלוי גם בדין הזר.
הוא תלוי גם בגורמים המקבלים את המידע.
אולם הרשות מגבילה את הגמישות הזאת.
היא קובעת אמת מידה אובייקטיבית.
מקבל מידע לא יוכל לטעון לנוחות אישית.
הוא גם לא יוכל לטעון למגבלה ארגונית.
טענות כאלה אינן "שינוי מחויב".

הגנת הפרטיות מחייבת גם אחרי ההעברה

גילוי הדעת מדגיש נקודה מרכזית נוספת.
העברת המידע אינה פוטרת מחובות הדין הישראלי.
בעל השליטה במאגר נשאר חייב.
גם מחזיק במאגר נשאר חייב.
החובות המהותיות ממשיכות לחול.
הדבר נכון גם בהתקשרות עם גורם זר.

בהמשך, הרשות מפרטת מה ייכלל בהסכם.
ההסכם חייב לכלול התחייבויות כלפי נושאי המידע.
התחייבויות אלה צריכות להיות זהות מהותית.
לחלופין, תוכנן צריך להיות דומה מהותית.
הדמיון נבחן מול הדין הישראלי.

כך, ההסכם צריך לאסור שימוש חורג במידע.
המידע ישמש רק למטרה המקורית.
בנוסף, ההסכם צריך להבטיח זכות עיון.
נושא המידע יוכל לעיין במידע עליו.
עוד צריך להבטיח זכות תיקון או מחיקה.
לבסוף, ההסכם צריך לכלול חובת סודיות.

אבטחת מידע, רישום מאגר, ומידע מהאזור האירופי

גילוי הדעת עוסק גם באבטחת מידע.
הרשות דורשת התחייבות לחובות מהותיות בתחום זה.
מקבל המידע צריך לקיים את התקנות הרלוונטיות.
הכוונה לתקנות הגנת הפרטיות (אבטחת מידע).
הרשות מזכירה גם את תקנה 19.
היא מזכירה אותה לגבי מחזיקים.

לחלופין, המסמך מציע מסלול נוסף.
מקבל המידע יוכל להצהיר על הסמכת ISO/IEC 27001.
הוא צריך גם להתחייב לקיים את התקן.
בנוסף, עליו לקיים בקרות רלוונטיות מנספח A.
עוד עליו לקיים חובות ספציפיות מסוימות.
החובות מפורטות בהנחיית הרשות 3/2018.

הרשות מתייחסת גם לרישום מאגר.
היא קובעת חריג מוגבל בנושא זה.
אי עמידה בחובת רישום או הודעה תיחשב שינוי מחויב.
החריג יחול רק בתנאי מסוים.
במדינה הזרה לא תתקיים חובה דומה.

עוד מבהירה הרשות נקודה חשובה.
העברת מידע לחו"ל כפופה גם לתקנה 3.
הדבר נכון גם לגבי העברה למדינה נוספת.
בנוסף, המסמך עוסק במידע מהאזור הכלכלי האירופי.
כאשר מידע כזה מצוי במאגר בישראל, חלה דרישה נוספת.
מקבל המידע צריך להתחייב גם לחובות מהותיות נוספות.
החובות קבועות בתקנות הייעודיות לאותו מידע.

למה גילוי הדעת חשוב לעוסקים בהעברת מידע לחו"ל

בסיום, הרשות מרחיבה את התמונה.
היא לא מסתפקת רק בחוק ובתקנות מכוחו.
היא מפנה גם לדינים אחרים רלוונטיים.
אם דינים נוספים חלים על המידע, יש לבחון אותם.
מקבל המידע צריך להתחייב לעמוד גם בהם.
לכן, בדיקת ההעברה צריכה להיות רחבה וזהירה.

גילוי הדעת משרטט מסגרת ברורה.
הוא מאפשר הסתמכות על תקנה 2(4).
עם זאת, הוא מציב תנאים ממשיים.
הוא דורש התחייבות מהותית ולא הצהרה כללית.
הוא גם שומר על חובות הליבה הישראליות.
לכן, כל ארגון צריך לקרוא אותו בעיון.
כל הסכם העברת מידע צריך לשקף אותו.

צור קשר

רוצים ייעוץ? עברו לעמוד יצירת קשר.

גילוי נאות

הפוסט מציג מידע כללי בלבד. הוא אינו מהווה ייעוץ משפטי.